事件回顾：从有限影响到广泛波及
2026年4月，Vercel披露了一起涉及内部系统的安全事件。最初，Vercel将其描述为影响“有限客户子集”的漏洞，但最新调查显示，受影响范围已大幅扩展至更广泛的开发者社区，尤其是那些构建AI代理工作流的团队。根据Vercel于4月19日发布的安全公告（随后多次更新），依赖第三方API密钥包、LLM提供商凭证和工具调用的开发者面临更高风险。
攻击如何发生？
与用户猜测不同，Vercel并非最初入侵点。攻击发生时，一名拥有敏感访问权限的Context.ai员工因感染了Lumma Stealer恶意软件而被突破。该员工下载了Roblox自动农场脚本和游戏漏洞利用工具——这些是Lumma Stealer的主要传播途径。此次入侵导致用户数据泄露，包括Google Workspace登录凭据以及Supabase、Datadog和Authkit等平台的访问密钥。
攻击者利用窃取的OAuth令牌成功进入Vercel的Google Workspace账户。尽管Vercel本身并非Context.ai的直接用户，但Vercel的一名员工拥有后者平台账户，该账户使用Vercel企业邮箱创建，且不幸批准了“允许所有”权限。更糟糕的是，Vercel在其内部Google Workspace环境中启用了这些宽松权限，大大降低了攻击门槛。进入系统后，攻击者尝试解密存储在系统中的非敏感环境变量，但未能获取到敏感数据，因为Vercel对敏感环境变量采用了无法直接访问的存储方式。
对AI代理开发者的启示：信任的脆弱性
对开发者而言，担忧的焦点并非已确认被盗的数据，而是潜在的“影响半径”。大多数开发者担心，他们通过明文环境变量串联起来的工作流可能已暴露于此次攻击。在Vercel平台上，开发者通常会在部署环境中存储重要的访问密钥，例如OpenAI或Anthropic的API密钥、向量数据库连接字符串、Webhook密钥以及第三方工具令牌。这些变量通常不会被系统自动标记为敏感，需要开发者手动配置。一旦这些凭证泄露，攻击者便可操控AI代理工作流，窃取模型训练数据或发起后续攻击。
为应对此次事件，Vercel已更新产品，将所有新建环境变量默认标记为敏感，仅允许开发者手动设置为非敏感。这一举措是积极的，但无法挽回之前已被窃取的变量。许多开发者呼吁Vercel提供更细粒度的权限审计工具和实时检测机制。
攻击波及范围：不仅是Vercel
据Vercel透露，此次攻击可能影响数百个组织中的数千名用户，波及范围不限于Vercel生态系统，而是整个科技行业。原因是攻击中使用的OAuth应用并非仅限Vercel使用，任何集成该应用的Google Workspace环境都可能受影响。Vercel安全团队已共享受害OAuth应用的唯一标识符，敦促Google Workspace管理员和Google账户持有者检查其是否授予了该应用访问权限。
与此同时，Context.ai在Nudge Security CTO Jaime Blasco的协助下，检测到另一个OAuth权限授权请求，其中包含Google Drive访问权限。Context.ai立即通知所有受影响客户，并提供了防止进一步破坏的必要步骤。
市场影响分析
此次安全事件再次凸显了云基础设施和AI开发者工具在供应链安全中的脆弱性。Vercel作为主流的前端部署和serverless平台，其安全漏洞可能引发连锁反应：一方面是AI代理依赖的第三方API密钥泄露导致模型被滥用或数据被窃；另一方面，OAuth令牌泄漏可能威胁企业SaaS生态。短期内，市场对Vercel的信任度可能下降，导致部分开发者迁移至Netlify、Cloudflare Pages等替代平台。但长期看，这一事件将推动行业制定更严格的环境变量管理标准，例如默认敏感标记、自动化密钥轮换以及零信任架构。对于加密货币和DeFi领域的开发者，由于智能合约和链上交互常依赖复杂的API集成，此次事件也为他们敲响警钟：应避免将敏感凭证存储在明文环境变量中，转而使用密钥管理服务或硬件安全模块。